freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

Collect-MemoryDump:一款针对Windows的数字取证与事件应急响应工具
2022-11-22 21:18:31
所属地 广西

关于Collect-MemoryDump

Collect-MemoryDump是一款针对Windows的数字取证与事件应急响应工具,该工具能够自动创建Windows内存快照以供广大研究人员或应急响应安全人员进行后续的分析和处理。

项目提供的Collect-MemoryDump.ps1是一个PowerShell脚本文件,该脚本主要功能就是从一个活动的Windows操作系统中收集内存快照。

功能介绍

1、开始获取内存之前检查主机名和物理内存大小;

2、检查是否有足够的可用磁盘空间来保存内存转储文件;

3、支持收集原始内存转储 w/ Dumplt;

4、从Magnet Idea Lab收集Microsoft Crash Dump w/DumpIt;

5、支持检查加密磁盘数据;

6、支持收集BitLocker恢复密钥;

7、支持检查已安装的终端安全工具(反病毒和EDR产品);

8、支持枚举目标主机中的所有必要信息,以丰富DFIR工作流;

9、支持创建受密码保护的安全存档容器;

工具下载&部署

广大研究人员可以直接访问该项目的【Releases页面】下载最新版本的Collect-MemoryDump。

注意:Collect-MemoryDump默认并不包含所有的外部工具。因此,我们需要手动下载下列工具依赖组件:

1、Belkasoft Live RAM Capturer

2、Comae-Toolkit

3、MAGNET Encrypted Disk Detector

4、MAGNET Ram Capture

接下来,将工具所需的文件拷贝到下列文件路径:

Belkasoft Live RAM Capturer

$SCRIPT_DIR\Tools\RamCapturer\x64\msvcp110.dll

$SCRIPT_DIR\Tools\RamCapturer\x64\msvcr110.dll

$SCRIPT_DIR\Tools\RamCapturer\x64\RamCapture64.exe

$SCRIPT_DIR\Tools\RamCapturer\x64\RamCaptureDriver64.sys

$SCRIPT_DIR\Tools\RamCapturer\x86\msvcp110.dll

$SCRIPT_DIR\Tools\RamCapturer\x86\msvcr110.dll

$SCRIPT_DIR\Tools\RamCapturer\x86\RamCapture.exe

$SCRIPT_DIR\Tools\RamCapturer\x86\RamCaptureDriver.sys

Comae-Toolkit

$SCRIPT_DIR\Tools\DumpIt\ARM64\DumpIt.exe

$SCRIPT_DIR\Tools\DumpIt\x64\DumpIt.exe

$SCRIPT_DIR\Tools\DumpIt\x86\DumpIt.exe

MAGNET Encrypted Disk Detector

$SCRIPT_DIR\Tools\EDD\EDDv310.exe

MAGNET Ram Capture

$SCRIPT_DIR\Tools\MRC\MRCv120.exe

工具使用

参数

.\Collect-MemoryDump.ps1 [-Tool] [--Pagefile]

使用样例1

.\Collect-MemoryDump.ps1 -DumpIt

使用样例2

.\Collect-MemoryDump.ps1 -Comae
使用样例3

.\Collect-MemoryDump.ps1 -WinPMEM --Pagefile

工具使用演示

查看帮助信息

检查可用空间

自动创建Windows内存快照 w/ Dumplt

自动创建Windows内存快照 w/ Magnet RAM Capture

自动创建Windows内存快照 w/ WinPMEM

自动创建Windows内存快照 w/ Belkasoft Live RAM Capturer

自动创建Windows内存快照 w/ DumpIt (Microsoft Crash Dump)

自动创建Windows内存快照 w/ WinPMEM

消息盒子

安全文档容器和Logfile.txt

输出目录

内存目录(WinPMEM和Pagefile)

内存快照

Pagefile收集

收集到的系统信息

许可证协议

本项目的开发与发布遵循GPL-3.0开源许可证协议。

项目地址

Collect-MemoryDump:【GitHub传送门

参考资料

https://www.magnetforensics.com/

https://github.com/evild3ad/Collect-MemoryDump/wiki/How-to-add-or-update-dependencies

https://www.comae.com/

https://github.com/ufrisk/MemProcFS

https://github.com/Velocidex/WinPmem

https://www.magnetforensics.com/resources/magnet-ram-capture/

https://www.magnetforensics.com/resources/encrypted-disk-detector/

https://github.com/orlikoski/CyLR

https://www.magnetforensics.com/blog/how-to-get-started-with-comae/

https://belkasoft.com/ram-capturer

# 系统安全 # 事件分析 # 应急响应 # DFIR
本文为 独立观点,未经允许不得转载,授权请联系FreeBuf客服小蜜蜂,微信:freebee2022
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
相关推荐
  • 0 文章数
  • 0 关注者
文章目录